Ashley Madison est-il fiable depuis le piratage de 2015 ?

01L’été 2015, quand tout a basculé

Le 19 juillet 2015, le journaliste spécialisé Brian Krebs révèle qu’un groupe se faisant appeler Impact Team a pénétré les systèmes d’Avid Life Media, la société torontoise derrière Ashley Madison. L’exigence est claire : fermer Ashley Madison et son site cousin Established Men, ou voir publier les fichiers de tous les clients.

La société ne ferme pas. Le 18 août 2015, les pirates mettent en ligne les données des membres, puis des documents internes et des e-mails de la direction. La FTC décrira plus tard une fuite touchant les informations de profil de 36 millions d’utilisateurs dans le monde. La presse française en a rendu compte dès le lendemain.

Le détail qui a donné raison aux pirates s’appelait « Full Delete ». Les membres payaient 19 dollars pour faire effacer leur profil. Selon la plainte de la FTC, la société conservait malgré tout ces informations, qui se sont retrouvées dans la fuite.

02Ce qui a réellement fuité

Ce n’était pas une simple liste d’adresses. La FTC rappelle que les utilisateurs avaient été assurés que leur date de naissance, leur situation amoureuse ou leurs préférences sexuelles restaient privées et protégées. Ce sont précisément ces champs qui rendent une fuite si dévastatrice sur un site de ce genre.

• Les données de profil : pseudonymes, descriptions, préférences déclarées, situation de couple.
• Les traces de paiement : Brian Krebs rapporte que les pirates menaçaient de publier les transactions avec noms et adresses réels, et que les achats « Full Delete » n’avaient pas été effacés.
• Les mots de passe : la plupart étaient hachés avec bcrypt, mais en septembre 2015 le groupe CynoSure Prime a annoncé en avoir retrouvé plus de 11 millions grâce à une faille de programmation.
• Les données de l’entreprise : comptes d’employés, plans de serveurs internes, années d’e-mails de la direction.

La leçon pour vous, aujourd’hui : tout ce que vous écrivez dans un profil, et tout ce qui est lié à votre moyen de paiement, peut un jour devenir public.

03Le chantage qui a suivi

En quelques jours, des membres identifiés dans la fuite ont reçu des e-mails de chantage. Brian Krebs cite le 21 août 2015 un message réclamant environ 225 dollars en bitcoins pour ne pas prévenir le conjoint. La police de Toronto a appelé les victimes à ne pas payer et évoqué deux suicides non confirmés liés à la fuite. En 2022, sept ans plus tard, personne n’avait encore été inculpé.

L’histoire ne s’est pas arrêtée en 2015. Début 2020, la société de sécurité Vade Secure a repéré une nouvelle campagne visant des personnes dont les données semblaient issues de la fuite. Les e-mails citaient la date d’inscription ou les centres d’intérêt du profil, et cachaient une demande d’environ 1 000 dollars en bitcoins dans un PDF protégé par mot de passe, pour passer les filtres anti-spam.

Si un message de ce type vous parvient, Cybermalveillance.gouv.fr donne la marche à suivre : ne répondez pas, ne payez pas (les escrocs reviennent généralement à la charge), conservez les preuves par captures d’écran et portez plainte au commissariat, à la gendarmerie ou par écrit au procureur de la République. Le chantage est un délit puni de cinq ans d’emprisonnement et de 75 000 euros d’amende (article 312-10 du Code pénal).

04L’accord de 2016 avec la FTC et les autres procédures

En décembre 2016, les exploitants, rebaptisés entre-temps Ruby Corp. et Ruby Life Inc., ont réglé les poursuites engagées par la FTC, 13 États américains et le district de Columbia. Voici ce que les autorités reprochaient, et ce que la société a accepté.

Les commissaires à la vie privée du Canada et de l’Australie ont rendu leurs propres conclusions en août 2016, et une action collective américaine, jugée dans le Missouri, s’est soldée en 2017 par un accord de 11,2 millions de dollars.

05Ce qui a changé depuis

La marque a survécu. Avid Life Media est devenue ruby en 2016, et l’application Ashley Madison est aujourd’hui éditée par Ruby Life Inc. En février 2026, la société a troqué son positionnement de site pour gens mariés contre celui de « rencontres discrètes », avec un nouveau slogan.

Côté confidentialité, la fiche App Store en France met en avant un mode furtif sur iOS qui rend les notifications discrètes, des outils de confidentialité des photos, une vérification de profil, la possibilité de signaler ou bloquer un membre, et une facturation discrète : le relevé affiche « AMDA » et non Ashley Madison, sauf si votre banque modifie le libellé. L’accord avec la FTC impose en outre un regard extérieur sur sa sécurité. Rien de tout cela ne rend une fuite impossible, mais les failles grossières de 2015 ne sont plus permises.

Notre avis, sans détour : l’Ashley Madison d’aujourd’hui n’est plus l’entreprise imprudente décrite par la FTC en 2016. Mais le nom porte désormais un astérisque, et la série documentaire de Netflix diffusée en mai 2024 l’a rappelé à toute une génération. Préférer un autre site n’a rien de paranoïaque.

06Les bons réflexes, quel que soit le site

Ces habitudes vous protègent sur Ashley Madison, sur Victoria Milan ou ailleurs. Elles partent du pire scénario, puisque 2015 a prouvé qu’il peut arriver.

• Créez une adresse e-mail réservée à cet usage, sans votre vrai nom dedans.
• Choisissez un mot de passe unique et activez la double authentification sur cette boîte mail.
• Ne mentionnez ni votre employeur, ni votre ville précise, ni vos enfants, ni rien qu’un moteur de recherche pourrait relier à vous.
• Utilisez des photos publiées nulle part ailleurs, et floutez ou masquez votre visage sur les photos publiques.
• Lisez le libellé bancaire avant de payer, et demandez-vous si cette ligne peut figurer sur votre relevé.
• N’envoyez jamais de photo intime où l’on reconnaît votre visage, un tatouage ou une pièce de votre maison.
• Sachez comment fermer le compte avant même de l’ouvrir.
• Traitez tout message qui exige de l’argent « sinon » comme une escroquerie : pas de réponse, preuves conservées, plainte.

07Si la discrétion passe avant tout : Victoria Milan

Victoria Milan est notre n°1 pour les rencontres discrètes, et la confidentialité en est la raison principale. Son centre d’aide décrit des outils Anonymizer pour flouter vos photos ou y poser un masque, des photos privées qu’un membre doit demander via une Private Key, un bouton panique qui affiche YouTube et une déconnexion automatique après inactivité. Il précise aussi que le nom du site n’apparaît pas sur les relevés bancaires et que le support ne répond qu’aux demandes venant de l’adresse e-mail enregistrée.

Deux choses à savoir avant de vous inscrire. Le site est exploité par Nextlove Limited à Malte, et les paiements encaissés par une société hongroise distincte : regardez la ligne exacte sur votre relevé après le premier débit. Et ses conditions générales signalent des profils générés par ordinateur, marqués « virtual hottie ». Mieux vaut l’apprendre ici que le découvrir en ligne. C’est malgré tout la plateforme vers laquelle nous orienterions d’abord quelqu’un de soucieux de sa vie privée.

Aucun site ne garantit l’anonymat total. Choisissez celui qui vous laisse le plus de contrôle, puis partagez le moins possible.